Rileva l'uso della password nella chiave pubblica RSA (SSH)

Question

Rileva l'uso della password nella chiave pubblica RSA (SSH)

#1 da (4 voti)

3

Abbiamo un collaboratore che specifica nel passaggio per la creazione di una chiave SSH:

It is not allowed to use an empty passphrase. We consider an empty passphrase as a violation of elementary security policies and will shut out any user doing so from further usage of our systems.

Io uso una piccola smartcard GPG (Yubikey) che è protetta esclusivamente da un PIN e da me che la porto sul mio portachiavi. Tuttavia, la chiave privata è - a quanto mi risulta - non crittografata sulla stessa carta. So che una chiave protetta da password (privata) verrà archiviata crittografata sul mio disco rigido, mentre una chiave priva di password sarebbe memorizzata in un formato semplice.

La mia domanda: visto che non vedranno mai la mia chiave privata, mi chiedo se sia possibile "annusare" (tramite ssh ) se la mia chiave privata è crittografata o no?

ssh rsa

posta MrD 29.07.2017 - 13:36

fonte

1 risposta

Leggi altre domande sui tag ssh rsa

È sempre sicuro (virus / malware / spyware) scaricare file video / musicali (torrent, lbry)? [chiuso] L'array PHP indesiderato per convertire le stringhe è un rischio per la sicurezza?

score 4 · Accepted Answer

Non è possibile per il server rilevare come viene memorizzata la chiave. Il server vede solo il risultato di un calcolo matematico che coinvolge la chiave. Il modo in cui il client chiave ottiene la chiave è completamente fuori controllo dal server.

In teoria il server potrebbe eseguire un'analisi temporale per cercare di indovinare se la chiave è protetta da password. Tuttavia è pratica comune memorizzare la chiave in memoria usando ssh-agent , nel qual caso il server misurerebbe solo il tempo impiegato dall'agente per fornire la chiave; il server non avrebbe ancora visibilità su come la chiave è stata caricata nell'agente.

Poiché la politica è ragionevole, la memorizzazione della chiave in una smart card è una sicurezza piuttosto migliore rispetto alla memorizzazione su un disco rigido con protezione tramite password. (Ovviamente non è un confronto universalmente vero - se hai una memoria molto buona per password complesse ma tendi a perdere il tuo portafoglio e la scheda è mal progettata, una chiave protetta da password potrebbe essere più difficile da ottenere. Ma la maggior parte delle persone prendersi più cura di ciò che hanno rispetto a quello che sanno.)

Naturalmente, se l'amministratore del server applica la politica alla cieca senza capire la logica, potresti avere dei problemi. Se si arriva a questo, si può sostenere che la chiave è protetta dal PIN. (La carta svolge un ruolo di protezione migliore, ecco perché un PIN è sufficiente: una password di 4 cifre è una sicurezza ridicola se l'utente malintenzionato ha accesso al file crittografato. Sto solo dicendo questo nel caso in cui si imbattesse in un amministratore incompetente. )